ApostropheCMS: Falta de autenticación en la ruta `cleanExport`

1. Resumen

El endpoint de API POST /api/v1/@apostrophecms/import-export/clean-export en @apostrophecms/import-export carece de comprobaciones de autenticación y autorización. Cualquier cliente —incluidos los usuarios anónimos no autenticados que hayan obtenido la cookie CSRF estándar al visitar el sitio— puede invocar directamente esta ruta y activar el método subyacente self.cleanExport(req).

2. Archivos y endpoints afectados

• Endpoint: POST /api/v1/@apostrophecms/import-export/clean-export
• Definición de ruta: packages/import-export/lib/apiRoutes.js (líneas 32–34)
• Implementación del método: packages/import-export/lib/methods/import.js (líneas 1271–1324)

3. Análisis de causa raíz

En packages/import-export/lib/apiRoutes.js, el manejador get.related valida explícitamente que el solicitante haya iniciado sesión:

get: {
  async related(req) {
    if (!req.user) {
      throw self.apos.error('forbidden');
    }
    // ...
  }
}

Por el contrario, post.cleanExport (así como post.overrideDuplicates) carece de cualquier verificación de req.user:

post: {
  async overrideDuplicates(req) {
    return self.overrideDuplicates(req);
  },

  async cleanExport(req) {
    return self.cleanExport(req); // <-- No authentication check
  }
}

Dado que ApostropheCMS no aplica la autenticación globalmente en todos los apiRoutes, omitir una protección explícita mediante if (!req.user) permite que las solicitudes anónimas pasen directamente a la capa de lógica de negocio.

4. Evidencia

Al enviar una solicitud POST no autenticada con la cookie CSRF del sitio (emitida a cualquier visitante en GET /), la solicitud elude el control de acceso por completo y ejecuta self.cleanExport(req), como se demuestra en el seguimiento de pila del servidor:

at Object.cleanExport (.../packages/import-export/lib/methods/import.js)
at .../packages/apostrophe/modules/@apostrophecms/module/index.js:193:30

Esto confirma que la ejecución llega directamente al manejador principal de importación/exportación sin una sesión autenticada.

5. Impacto

1. Control de acceso roto: Los usuarios no autenticados pueden invocar operaciones de limpieza y eliminar archivos temporales de exportación y artefactos almacenados en el servidor.
2. Mutación de estado no autorizada: El endpoint permite modificar registros de tareas en la base de datos a través de req.body.jobId (forzándolos a ended: true, status: 'completed') y descartar notificaciones mediante req.body.notificationId sin verificar si los recursos pertenecen al solicitante.

6. Mitigación sugerida (parche)

Aplique una comprobación de autenticación en packages/import-export/lib/apiRoutes.js antes de ejecutar los métodos subyacentes:

--- a/packages/import-export/lib/apiRoutes.js
+++ b/packages/import-export/lib/apiRoutes.js
@@ -26,10 +26,16 @@ module.exports = self => {
     get: { ... },
     post: {
       async overrideDuplicates(req) {
+        if (!req.user) {
+          throw self.apos.error('forbidden');
+        }
         return self.overrideDuplicates(req);
       },
 
       async cleanExport(req) {
+        if (!req.user) {
+          throw self.apos.error('forbidden');
+        }
         return self.cleanExport(req);
       }
     }